Versionshinweise zu Google Distributed Cloud mit Air Gap

16. Februar 2024 [GDC 1.12.0]

Ankündigung
  • Google Distributed Cloud mit Air Gap 1.12.0 ist jetzt verfügbar.
    In der Produktübersicht finden Sie Informationen zu den Funktionen von Google Distributed Cloud mit Air Gap.
  • Google Distributed Cloud mit Air Gap 1.12.0 unterstützt zwei Betriebssysteme:
    • Ubuntu 20231205
    • Rocky Linux 20231208
Sicherheit

Die Canonical Ubuntu-Betriebssystem-Image-Version wurde auf 20231208 aktualisiert, um die neuesten Sicherheitspatches und wichtigen Updates anzuwenden. Damit Sie von den Fehler- und Sicherheitslückenkorrekturen profitieren können, müssen Sie alle Knoten mit jedem Release aktualisieren. Die folgenden Sicherheitslücken wurden behoben:

Sicherheit

Die folgenden Sicherheitslücken in Container-Images wurden behoben:

Sicherheit

Das Basis-Image gcr.io/distroless/base wurde auf den Digest sha256:eda29d6da91216123f1c1841b7c7a7abe1eece155cfe8d20d2a29e5daf9ad497 aktualisiert, um die neuesten Sicherheitspatches und wichtigen Updates anzuwenden.

Ändern

Add-on-Manager:

Erstellen und verpacken:

  • Die Golang-Version wird auf 1.20 aktualisiert.

  • In Google Distributed Cloud mit Air Gap 1.12.0 werden der Ausgabe zusätzliche Software-Materiallisten (Software Bills Of Materials, SBOMs) hinzugefügt und die Logik wird aktualisiert, um sicherzustellen, dass solche SBOMs in Zukunft veröffentlicht werden.

  • In Google Distributed Cloud mit Air Gap 1.12.0 werden gdch_notice_license_files-TAR-Dateien zum Hochladen von Manifesten hinzugefügt.

Inventarverwaltung:

  • Google Distributed Cloud mit Air Gap 1.12.0 fügt Validierungen für Verbindungseinträge der Hardwareversion 3.0 hinzu.
  • In Google Distributed Cloud Air-Gapped 1.12.0 wird das Portmuster für die Verwaltung des Konsolenservers aktualisiert, um LAN1A und LAN2A zuzulassen.
  • In Google Distributed Cloud mit Air Gap 1.12.0 wird eine Meldung hinzugefügt, um die Verwirrung bezüglich der aktiven und passiven Modi von PA850 zu verringern.
  • Google Distributed Cloud mit Air Gap 1.12.0 unterstützt eine Breakout-Kassette in der Validierung.
  • In Google Distributed Cloud mit Air Gap 1.12.0 wird die Verbindung zwischen der permanenten Firewall und der Verwaltungsfirewall validiert.
  • In Google Distributed Cloud mit Air Gap 1.12.0 wird dem Generator für den Fragebogen zur Kundenaufnahme eine Aufforderung für das CIDR (Classless Inter-Domain Routing) für die OI hinzugefügt.
  • In Google Distributed Cloud mit Air Gap 1.12.0 wurde eine Fehlermeldung zu fehlenden MAC-Adressen verbessert, um die Instabilität der Preflight-Prüfung bei der Validierung der HSM- und MGMT-SW-Verbindung zu verringern.

Operations Center IT-Organisation:

  • Die IT-Organisation des Operations Center hat die folgenden Namensaktualisierungen:

    • Operations Center (OC) wurde in Operations Suite Facility (OIF) umbenannt.

    • OC Core wurde in Operations Suite Infrastructure Core Rack (OIR) umbenannt.

    • Operations Center IT (OCIT) wurde in Operations Suite Infrastructure (OI) umbenannt.

    • OCIT wurde in OI umbenannt.

    Weitere Informationen finden Sie unter Terminologie.

  • In Google Distributed Cloud mit Air Gap 1.12.0 wird das Userlock-Konfigurationsskript aktualisiert, um die Verwendung eines Failover-Servers zu ermöglichen.

  • In Google Distributed Cloud mit Air Gap 1.12.0 werden zusätzliche Sicherheitsgruppen für die Operations-Suite-Infrastruktur (OI) vorab erstellt, um einen detaillierten Zugriff auf OI-Systeme zu ermöglichen.

Artifact Registry:

  • In Google Distributed Cloud mit Air Gap 1.12.0 wird das kurze Flag -f (--force) aus CLI-Assets entfernt.

Versionsupdate:

  • Die Debian-basierte Image-Version wird auf bookworm-v1.0.0-gke.3 aktualisiert.

Funktion

Zertifikatmanager:

  • Konfiguration der Schlüsselgröße in einem Web-TLS-Zertifikat für Organisationen eingeführt.

Datenbankdienst:

  • Unterstützung für die Wiederherstellung zu einem bestimmten Zeitpunkt für Oracle-Datenbanken.
  • Unterstützung für die erweiterte Postgres-Migration, um lokale Datenbanken zu Datenbanken zu migrieren, die vom GDC-Datenbankdienst verwaltet werden.

Logging:

Marketplace:

  • MongoDB Enterprise Advanced (BYOL) ist jetzt im Google Distributed Cloud Air-Gapped 1.12.0 Marketplace verfügbar.
    Es handelt sich um eine Sammlung von Produkten und Diensten, die die Sicherheit und Effizienz erhöhen und Ihnen die Kontrolle über Ihre MongoDB-Datenbanken geben.

Objektspeicher:

  • Es wurde ein neues Image hinzugefügt, das zum Hosten von Upgradedateien in der Objektspeichersoftware erforderlich ist.
  • Bucket-Webhooks wurde ein Label für die Verschlüsselungsversion hinzugefügt.
  • Es wurde ein Abgleich für die Rotation von Anmeldedaten hinzugefügt.

Operations Suite Infrastructure Core Services (OIC)

  • Google Distributed Cloud Air-Gapped 1.12.0 erfasst OIC-Logs in Grafana.
  • In Google Distributed Cloud mit Air Gap 1.12.0 wird das Script Copy-BareMetalFiles.ps1 aus der Installationsdokumentation in Scripts in private-cloud/operations/dsc/ verschoben.
Plattformsicherheit

  • Ein Web-TLS-Zertifikat für einen Root-Administratorcluster wird von der internen Public-Key-Infrastruktur von Google Distributed Cloud mit Air Gap ausgestellt.

Sicherheits-Compliance:

  • Mit Google Distributed Cloud mit Air Gap 1.12.0 wird die Portsicherheit eingeführt, die für eine Sicherheitsbewertung erforderlich ist.

Ticketsystem

  • Geplante Jobs in ServiceNow wurden aktualisiert, um sie gestaffelt auszuführen und so Datenbankspitzen zu vermeiden.
  • Der Infrastrukturbetreiber erhält eine Benachrichtigung, wenn ein Meta-Monitoring-Vorfall in ServiceNow veraltet ist.

Upgrade

  • Das Dashboard Upgradestatus für Infrastrukturbetreiber und Plattformadministratoren wurde hinzugefügt.
  • Es wurde ein Befehl zum Auslösen eines Nutzercluster-Upgrades hinzugefügt.

Vertex AI:

  • Vorabversion von Onlinevorhersagen hinzugefügt, um Anfragen mit Ihren eigenen Vorhersagemodellen in einer Reihe unterstützter Container zu verarbeiten.
  • Die Vorabversion von Document Translate wurde hinzugefügt, um formatierte PDF-Dokumente direkt zu übersetzen und die ursprüngliche Formatierung und das Layout in Übersetzungen beizubehalten.
  • Unterstützung für das Sichern und Wiederherstellen von Notebookdaten im Basisverzeichnis von Vertex AI Workbench JupyterLab-Instanzen hinzugefügt.

Verwaltung virtueller Maschinen

Fest

Abrechnung:

  • Das Problem, dass der Job onetimeusage beim Aktualisieren von Labels für das Objekt onetimeusage immer fehlschlägt und Fehlerbenachrichtigungen verursacht, wurde behoben.
  • Es wurde ein Problem behoben, durch das die Gesamtkosten für eine benutzerdefinierte Ressource (CR) dupliziert wurden, wenn der Job neu gestartet wurde, nachdem die Kosten der CR in die Datenbank geschrieben wurden, bevor das Label auf „Verarbeitet“ aktualisiert wurde.

Hardware-Sicherheitsmodul:

  • Das Problem, dass das Hardwaresicherheitsmodul häufig zwischen den Status ServicesNotStarted und ready wechselte, wurde behoben.

Hybrididentität:

  • Das Problem mit der Netzwerkkonfiguration in Identitäts-Pods wurde behoben.

Inventarverwaltung:

  • Das Problem, dass der Lizenzparser Objektspeicherdateien nicht parst, deren Lizenz-JSON-Text sich über mehrere Zeilen erstreckt, wurde behoben.
  • Das Problem mit dem regulären Ausdruck für die Validierung des CableType von CellCfg für Hardware 3.0 wurde behoben.
  • Das Problem mit dem Bootstrapper-Knoten in der Hardwarevalidierung wurde behoben.
  • Es wurde ein Problem behoben, bei dem SecureBootEnable auf dem Root-Administratorclusterknoten nach dem Server-Bootstrapping deaktiviert war.

Operations Suite Infrastructure Core Services (OIC)

  • Das Problem, dass Initialize-BareMetalHost.ps1 nicht erkennt, dass ein Neustart erforderlich ist, wurde behoben.
  • Ein Problem mit einer Unternehmens-Root-CA wurde behoben, bei dem keine REQ-Datei zum Einreichen für eine Offline-Root-CA ausgestellt wurde.
  • Ein Problem wurde behoben, bei dem die Hyper-V-Zeitsynchronisierung beim Erstellen der OIC-VM aktiviert blieb.

Ticketsystem

  • Problem mit MariaDB-Audit behoben.

Upgrade

  • Das Problem mit IAM-Benachrichtigungen (Identity and Access Management) wurde behoben, indem IAM-Postflight-Upgrade-Prüfungen hinzugefügt wurden.

Verwaltung virtueller Maschinen

  • Das Problem, dass der VM-Status zuvor als PendingIPAllocation angezeigt wurde, wenn die VM nicht geplant werden konnte, wurde behoben. Nach der Fehlerbehebung wird der VM-Status ErrorUnscheduable angezeigt.
  • Das Problem, dass beim Importieren von VM-Images das falsche Objektspeicher-Secret verwendet wurde, wurde behoben.
Vorgang

Sichern und wiederherstellen:

  • Benachrichtigungen für ein Sicherungs-Repository können auch dann ausgelöst werden, wenn das Repository fehlerfrei ist.

Clusterverwaltung:

  • Der Job machine-init schlägt während der Clusterbereitstellung fehl.

Physische Server:

  • Der Fortschritt des Updates des Root-Administratorclusters bleibt beim Knotenupgrade hängen, insbesondere bei NodeBIOSFirmwareUpgradeCompleted.

Datenbankdienst:

  • Datenbankdienst-Arbeitslasten werden im Systemcluster ausgeführt. Dies kann dazu führen, dass Datenbankarbeitslasten die Compute-Infrastruktur mit anderen Datenbankinstanzen und verschiedenen Steuerungssystemen teilen.

Harbor as a Service (HAAS):

  • Da es sich bei HaaS um eine Funktion in der Vorabversion von Google Distributed Cloud mit Air Gap 1.12.0 handelt, ist es nicht für den Einsatz in Produktionsumgebungen vorgesehen.
    Der Vorinstallationsjob schlägt absichtlich fehl, um zu verhindern, dass die Unterkomponenten ordnungsgemäß abgeglichen werden. Dadurch wird verhindert, dass Nutzer HaaS verwenden.
    Es ist zu erwarten, dass sich HaaS-Unterkomponenten im Status „Abgleich“ befinden. Dies hat keine Auswirkungen auf die Funktionalität anderer Komponenten.

Firewall:

  • Während der Kundenbereitstellung muss der Nutzername des Administrators der Datei secret.yaml admin lauten. Nach der ersten Erstellung enthält er jedoch TO-BE-FILLED. Der Nutzername admin muss verwendet werden, um die erste Konfiguration auf der Firewall zu initialisieren.

Hardware-Sicherheitsmodul:

  • Deaktivierte Testlizenzen sind weiterhin in CipherTrust Manager sichtbar und lösen fälschlicherweise Ablaufwarnungen aus.
  • Beim Löschen eines KMS-CTMKey kann es zu unerwartetem Verhalten kommen, z. B. dass der KMS-Dienst für die Organisation nicht gestartet wird.
  • Ein rotierbares Secret für Hardwaresicherheitsmodule befindet sich in einem unbekannten Zustand.
  • Rotationen der internen HSM-Zertifizierungsstelle bleiben hängen und werden nicht abgeschlossen.

Logging:

Monitoring:

  • Node Exporter-Zertifikate sind beim Erstellen einer Organisation möglicherweise nicht bereit.
  • Einige Messwerte aus den Nutzerclustern werden nicht erhoben. Dieses Problem betrifft die Nutzer-VM-Cluster, aber nicht den Systemcluster.
  • Die Speicherklasse für Messwerte ist in der Konfiguration falsch definiert.
  • Die ConfigMap mon-prober-backend-prometheus-config wird so zurückgesetzt, dass sie keine Prüfjobs enthält, und die Benachrichtigung MON-A0001 wird ausgelöst.

Knotenplattform:

  • Das Knotenupgrade schlägt aufgrund einer veralteten lvm.conf-Datei fehl.

Physische Server:

  • Der Fortschritt des Updates des Root-Administratorclusters bleibt beim Knotenupgrade hängen, insbesondere bei NodeBIOSFirmwareUpgradeCompleted.
  • Wenn Sie einen Server manuell installieren, kann es passieren, dass die Serverinstallation hängen bleibt.

Upgrade:

  • Knotenupgrade für NodeOSInPlaceUpgradeCompleted fehlgeschlagen.
  • Beim Switch-Upgrade kann der Befehl install add bootflash://.. nicht ausgeführt werden
  • Mehrere Pods in einem Systemcluster können im Status TaintToleration hängen bleiben.

Oberer Netzwerkbereich:

  • Ein Nutzer-VM-Cluster bleibt im Status ContainerCreating mit der Warnung FailedCreatePodSandBox hängen.

Vertex AI:

  • Der MonitoringTarget zeigt den Status Not Ready an, wenn Nutzercluster erstellt werden. Dadurch wird in der Benutzeroberfläche für vortrainierte APIs kontinuierlich der Status Enabling angezeigt.

VM-Sicherung und -Wiederherstellung:

  • Die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) und die Schemaeinstellungen im VM Manager verhindern, dass Nutzer VM-Sicherungs- und ‑Wiederherstellungsprozesse starten.
  • Der Import des VM-Images schlägt beim Image-Übersetzungsschritt aufgrund einer unzureichenden Laufwerksgröße und einer Zeitüberschreitung bei der Antwort des Objektspeicher-Proxys fehl.

SIEM:

  • OCLCM-Vorinstallationsjobs schlagen bei der Feature-Gate-Prüfung wiederholt fehl.
Eingestellte Funktionen

Leistung:

  • In Google Distributed Cloud mit Air Gap 1.12.0 wird die Möglichkeit, provision key-Benchmarks auszuführen, eingestellt.